Frage zu SCA und HKSYN bzw. allgmeines Einrichten eines Bankzugangs

Hallo,

ist im Forum jemand dabei, der SCA in seinen HBCI/FinTS-Client einbauen muss?

Es steht geschrieben...
FinTS_3.0_Security_Sicherheitsverfahren_PINTAN_2018-02-23_final_version.pdf
B.4.3.2 Initialisierung bei Prozessvariante 1
bzw.
B.4.3.3 Initialisierung bei Prozessvariante 2

"Vor dem allerersten Dialog mit dem Kreditinstitut bzw. falls die Informationen nicht vorliegen: Mit der Durchführung eines personalisierten Dialogs mit der Sicherheitsfunktion 999 erhält das Kundenprodukt mit dem Rückmeldungs-code 3920 alle für den Benutzer zugelassenen Ein- und Zwei-Schritt-Verfahren mitgeteilt. Eine UPD liegt zu diesem Zeitpunkt noch nicht vor. Dieser Dialog wird durch das Kundensystem mit einer Dialogendenachricht (HKEND) beendet."

Teilt jemand meine Interpretation, dass das somit auch für HKSYN gilt, welches ja ein eigens definierter Dialog ist ohne Geschäftsvorfälle die da noch mitgesendet werden können? Dennoch ist es ein Dialog mit einer Dialog-Initialisierung?

Mein bisher vorgesehener Ablauf z.B. bei Neuanlage einer Bank-Verbindung:

1. HKSYN mit Sicherheitsverfahren 999 (ohne Zweischritt) im Modus 0
--> liefert (nicht-SCA-)BPD und Kundensystem-ID und auch gleich die zugelassenen Zweischrittverfahren.

2. Wird HKTAB geboten, dann Abruf der TAN-Medien (HKTAB). Dialog-Init mit HKTAN#6 und Segmentname "HKTAB" in HKTAN und "irgendwas" als TAN-Mediumsname, falls dieser laut BPD verpflichtend ist. SCA wird damit vermieden, dennoch Einstellung des vom Kunden gewählten TAN-Verfahrens, also kein 999.
--> TAN-Medien werden geliefert, wenn vorhanden

3. Nun Abruf von HKSPA (SEPA-Konten). Kunde muss Zweischrittverfahren und ggf. TAN-Medium gewählt haben. UPD-Version 0, BPD-Version 0
--> ggf. zündet hier ein SCA, Kunde muss dann TAN eingeben
--> UPD wird geliefert
--> SCA-BPD wird geliefert (wo dann bspw. Umsatzabrufe und Saldenabrufe TAN-pflichtig sind)

... weitere GVs, je nach Geschmack.

Wichtig ist mir, dass der erste Schritt von allen Serversystemen trotz SCA weiter so durchgelassen wird. Was meint Ihr? Müsste doch passen, oder?
Auch bisher ist HKSYN mit 999 immer möglich bei PIN/TAN, weil man sonst nie eine Kundensystem-ID bekäme.

Danke!

Ja das sollte so funktionieren. Hksyn und 999 Dialoge werden ohne SCA durchgelassen und beantwortet mit 3920 und ggf Kundensystem ID. (Kann nur für Sparkassen reden)

Nach deinem 2. Schritt willst du dann hkspa schicken und erwartest eine SCA TAN. Die bekommst du auch aber nicht für den hkspa sondern schon für die neue HKVVB.
Denn nach dem Dialog den du für den HKTAB aufgemacht hast und für den du eine SCA Ausnahme bekommen hast nach Anmeldung des GVs im HKTAN6 darf der Dialog nicht weiter genutzt werden.
Wenn du im HKTAN6 was anderes als HKIDN einstellst ist das ein SCA Ausnahme Dialog der nur für diesen GV genutzt werden darf und dann wieder geschlossen werden muss.
Also machst du dann HKVVB mit HKTAN6 und HKIDN und bekommst dann deine SCA TAN. Und dann kannst du zb hkspa schicken wenn du den wirklich brauchst.

Danke für die Rückmeldungen. Ja, nach HKTAB wird der Dialog geschlossen. Bank schickt dann 9800 und ich mache zu und ich mache auch selber zu, wenn sie es nicht tut.
Und auf die Sparkassen kam es mir an, denn die F-IT will mir (im Gegensatz zu früher) keinen Testzugang mehr geben

@Kontex: wie Offlinebanker schrieb... schicke mal ein Log.

Auch Umsätze sind mit PSD2 prinzipiell TAN-pflichtig. Das heißt, Du musst eine Challenge dafür anfordern und den Kunden die TAN eingeben lassen, wie bei einer Überweisung.
TAN-pflichtig sind sie mindestens dann, wenn sie mehr als 90 Tage in die Vergangenheit reichen.

Die "erste" TAN gilt nur für die "allgemeine" SCA per Dialog-Init, damit Du überhaupt irgendwas darfst, das mit Zahlungsverkehrskonten zu tun hat (z.B. die Kontonumer überhaupt erfahren). Die ist alle 90 Tage mindestens einmal nötig, demnach nicht bei jedem Umsatzabruf. Rufst Du dann mehr als 90 Tage Umsätze ab, muss eine TAN her.

PSD2 ist im Bezug auf SCA und die anderen definierten "Schutzmechanismen" absolut schräg. Angeblich alles zum Schutz der Verbraucher. Aber ich höre mal lieber an dieser Stelle auf, denn sowohl die PDS2-Vorgaben (, das damit verbundene Rückfragen-Chaos bei BaFin & Co) und dann noch die grausige Abbildung auf HBCI/FinTS-Ebene führen bei mir regelmäßig zu steigendem Blutdruck

Darüber, wann eine TAN erforderlich ist, gibt HBCI/FinTS keine Auskunft. Dort wurden nur Möglichkeiten geschaffen, dass man (als Server) prinzipiell für alles eine TAN vom Client fodern kann, das mit ZV-Konten, Buchungen & Co zu tun hat.
Das mit den 90 Tagen findest Du irgendwo in den PSD2-Richtlinien. Kann Dir leider auch nicht sagen, wo genau. Das wurde bei uns durch jemanden ausgearbeitet, der sich monatelang damit befasst hat.

"Schlaganfall"... oh, das muss man nicht haben. Dann bleib besser mal entspannt!

Bedenkt bei der ganzen 90-Tage Thematik: Die Kunden können diese selbst abschalten (lassen).

Gruß
Raimund